部署
部署模式
PRECOG Web API 和应用服务运行在由 Vida Soft 运营的云环境中，通过互联网访问。测量设备使用客户现有的网络，采用以太网或企业 Wi-Fi，不需要专用网关。获得授权的用户通过浏览器工作。数据在欧盟境内存储和处理。
客户机房中的专用 PRECOG 服务器运行 API、分析、AI、数据库和浏览器界面。设备连接到本地 API 端点，因此正常运行不依赖外部云服务。
该系统只做观察。它读取测量值，不向机器发送控制指令。
边缘
测量设备
- 只启用测量、连接和 API 通信所需的服务。
- 出站流量使用加密的 HTTPS 通道。
- 每条消息都用机器密钥（HMAC）签名，以保护其来源和完整性。
- 对设备的网络访问由客户的 Wi-Fi 或以太网控制措施限制。
- 物理访问、固件管理和维护遵循受控流程。
- 如果连接中断，设备把记录保存在自身存储中，并按顺序上传。只有 API 确认之后，记录才算送达。
接口
API 与通信
传输
TLS 1.2 或更高版本，试点中使用 TLS 1.3。正常运行不需要未加密的 HTTP、FTP 和 Telnet。
认证
设备使用 HMAC 签名和设备标识。服务使用不可交互登录的专用账户。集成使用密钥或证书。
输入与错误
服务器校验每项输入的类型、范围、长度和格式。错误消息是通用的，不泄露任何系统信息。
会话标识绝不作为 URL 参数发送。访问遵循最小权限原则。成功和失败的 API 事件都会记录。
数据
数据与所有权
PRECOG 处理技术遥测数据、资产信息、分析结果、事件、用户记录和管理日志。处理有明确目的，访问取决于角色，重大变更可以审计。试点数据包可以限定为匿名的技术数值，带有时间戳、序列号和一个不含任何含义的设备标识。这样其中就不包含个人数据，也不包含机器名称、序列号或确切位置。
数据遵循受管理的生命周期：采集、保留、使用、备份和受控删除。数据文件、备份和敏感配置在静态时加密。密钥和机密与数据分开管理，访问受限，并有书面记录的轮换和撤销流程。
访问
访问控制
- 设备：HMAC 机器认证，使用唯一密钥并带有重放保护。
- 用户：唯一的 ID 和强密码，已集成时配合多因素认证。
- 管理员：独立的具名账户，已集成时配合多因素认证，并记录会话日志。
- 基于角色的访问：查看者、维护技术员、维护经理、系统管理员和审计员。
- 每个角色只能看到自己所需的功能和数据。
- 定期审查特权权限，撤销不活跃的账户，并记录访问事件。
运维
日志、备份与补丁
日志
审计、API、安全、应用、数据库和操作系统日志使用共同的时间源，并带有来源标识、事件类型、结果和关联标识。集成了 SIEM 时，日志可以转发到 SIEM。
备份与恢复
备份模式融入客户的集中备份：频繁的数据库备份、每日完整备份、每次获批变更后的配置备份，以及重大变更前的系统镜像。恢复遵循有文档记录的顺序。
指令
NIS2 指令：它要求什么
欧盟第2022/2555号指令，即 NIS2，为欧盟的关键实体和重要实体制定了共同的网络安全规则。各成员国通过本国法律实施。第 21 条列出了实体必须采取的风险管理措施。第 23 条说明如何报告重大事件。
这些义务属于运营组织，供应商无法代为承担。供应商可以提供安全构建、文档清晰、便于融入运营方安全体系的产品。PRECOG 正是这样设计的。
PRECOG 是观察型系统。它读取测量值，不向机器发送控制指令，因此不会增加影响过程的途径。架构和控制措施见上文各节。
第 21 条
NIS2 措施与 PRECOG
每张卡片列出第 21(2) 条中的一项措施，并说明 PRECOG 为此提供什么。
部署模式、安全区域和每个网络连接都有文档记录，包括源、目的、协议、端口和业务理由。运营方可以将这份说明直接用于自己的风险分析。
审计、API 和安全事件的日志使用共同的时间源，带有事件类型、结果和关联标识。日志可以转发到 SIEM。安全事件遵循分级流程，包括基于日志的调查、验证测试和有文档记录的关闭。
备份模式融入客户的集中备份：数据库备份、每日完整备份、每次获批变更后的配置备份，以及重大变更前的系统镜像。恢复遵循有文档记录的顺序。测量设备在网络中断期间保存其记录，并按顺序上传。
支持的基础设施已列明。已结束供应商支持的组件将被迁移。数据和软件的所有权以书面形式确定，因此运营方可以将 PRECOG 作为供应商进行评估。
漏洞评估在部署前、重大变更后以及定期进行。发现的问题按风险、可利用性和业务影响排序。上线前测试外部和内部攻击面，复测确认修复。变更遵循受控的发布流程。
渗透测试与复测、定期的漏洞评估以及对平台本身的监测，可以证明这些措施的效果如何。平台监测跟踪可用性、响应时间、错误率和资源使用情况。
只启用必要的服务。不必要的端口关闭，服务以非特权账户运行，不允许直接远程管理员登录。人员培训属于运营方的组织措施。
通信使用 TLS 1.2 或更高版本，试点中使用 TLS 1.3。每条设备消息都用机器密钥（HMAC）签名。数据文件、备份和敏感配置在静态时加密。密钥单独管理，并有书面记录的轮换和撤销流程。旧版 SSL 和 TLS 以及弱算法均被禁用。
访问基于角色，从查看者到审计员共五种角色，并遵循最小权限原则。定期审查特权权限，撤销不活跃的账户，并记录访问事件。每台设备都有唯一的标识和唯一的密钥。
用户和管理员在已集成时可以使用多因素认证，管理员拥有独立的具名账户。设备的无线连接可以用 WPA3 企业版和 802.1X 保护。出站流量使用加密通道。
第 23 条
NIS2 事件报告
实体在得知重大事件后，须在 24 小时内发出预警，72 小时内提交通报，一个月内提交最终报告。为此，运营方需要尽快获得可靠的事实。
PRECOG 的日志共用一个时间源，带有来源标识、事件类型、结果和关联标识。它们可以转发到运营方的 SIEM，与其他日志汇合。事件是否重大的判断，以及向主管机构的报告，仍由运营方负责。
行业
NIS2 适用于哪些场景
该指令列出的行业包括能源、含航空和铁路的运输、饮用水和废水、卫生健康、数字基础设施，以及电气设备和机械的制造。机场、铁路、公用事业和制造商都是 PRECOG 监测电机的组织。
某个组织是否在适用范围内，取决于其所属行业、规模和其运营所在国家的本国法律。
范围
NIS2 部分的范围
您是否有需要我们在试点前答复的 IT、安全或 NIS2 要求？